PHP gestito da volontari, che alimenta la maggior parte dei siti Web, è sempre più minacciato da attacchi informatici che sfruttano le capacità dell’intelligenza artificiale.
All’inizio di questo mese, le autorità di tutto il mondo hanno esortato gli amministratori dei siti Web a eseguire aggiornamenti di emergenza dopo che una fondazione di programmazione senza scopo di lucro ha segnalato difetti di sicurezza critici che potrebbero consentire agli hacker di violare i sistemi.
I siti web governativi e aziendali sono andati brevemente offline per correggere le vulnerabilità, soprannominate PHP2Shell, che sono state scoperte da esperti indipendenti di sicurezza informatica utilizzando l’intelligenza artificiale (AI).
Le vulnerabilità erano incorporate nel codice di un linguaggio di programmazione web open source ampiamente utilizzato, PHP, per più di un decennio. Erano però passati inosservati perché sarebbe stato troppo complicato per gli esseri umani sfruttarli senza l’uso dell’intelligenza artificiale avanzata.
Ma gli esperti di sicurezza informatica, così come coloro che mantengono software importanti, affermano che PHP2Shell potrebbe essere il primo di un diluvio di falle di sicurezza esposte dall’intelligenza artificiale emergente. Affermano che gran parte dell’infrastruttura digitale più critica del mondo è gestita da volontari, a cui spesso mancano le risorse e il tempo per rispondere alle minacce appena scoperte.
“Molte persone nella comunità della sicurezza dell’intelligenza artificiale hanno affermato che questa è una delle prime aree in cui vedremo l’impatto dannoso dell’intelligenza artificiale”, ha affermato Peter Slattery, ricercatore presso FutureTech del MIT, che studia come gli esperti di sicurezza informatica stanno affrontando la nuova tecnologia e tiene traccia degli incidenti del mondo reale che coinvolgono l’intelligenza artificiale.
Un mondo digitale costruito sul lavoro volontario
PHP ha avuto inizio nel 1995, quando il programmatore danese-canadese Rasmus Lerdorf ha cercato di monitorare quante persone visitavano il suo curriculum online. Nel corso del tempo, altri in tutto il mondo hanno migliorato il software di Lerdorf e la sua popolarità è cresciuta.
Come con altri progetti di codifica open source, chiunque può scaricare, modificare e condividere miglioramenti. Siti web come Facebook e Wikipedia sono stati realizzati utilizzando PHP, che gestisce circa il 70% dei siti web del mondo.
Nel 2021 è stata lanciata un’organizzazione no profit dedicata, la PHP Foundation, per coordinare lo sviluppo. Come molte altre fondazioni che mantengono software open source, opera con un budget limitato.
La maggior parte dell’infrastruttura digitale utilizzata dai consumatori è alimentata da software open source. Il browser Mozilla Firefox è open source, così come linguaggi come Perl, Python e JavaScript. Il software che consente a un computer di comunicare con altri su Internet è spesso open source, con molti server che utilizzano prodotti come Apache HTTP Server, gestito dalla Apache Software Foundation.
“Il mondo di oggi, compresi i fornitori di software proprietario, fa affidamento sul software open source per la propria infrastruttura digitale”, ha affermato Amanda Brock, CEO di OpenUK, un’organizzazione no-profit che supporta il software open source.
Le più grandi aziende del mondo, come Meta, Google, OpenAI e Anthropic, dipendono da questa infrastruttura open source costruita da volontari. Ora, gli strumenti di intelligenza artificiale di quelle aziende stanno scoprendo i difetti di sicurezza nell’infrastruttura a un ritmo che richiede molte più risorse affinché gruppi come la PHP Foundation possano tenere il passo.
“Semplicemente non è possibile con le risorse disponibili correggere tutte le vulnerabilità conosciute”, ha affermato Brock. “Le fondazioni stanno tentando di gestire queste sfide, ma quelle più piccole non dispongono di centinaia di milioni di finanziamenti e gestirle al ritmo richiesto dall’intelligenza artificiale si sta rivelando impossibile”.
Un diluvio di nuovi bug da correggere
Le vulnerabilità PHP2Shell sono state individuate attraverso diversi modelli di intelligenza artificiale avanzati, che possono impiegare tentativi molto più complicati di oltrepassare le barriere di sicurezza di quanto potrebbero fare gli umani.
Anche gli sviluppatori di altri software scoprono molti più difetti di sicurezza rispetto al passato perché l’intelligenza artificiale viene utilizzata per sondare le difese.
Google ha affermato di aver scoperto più di 1.000 bug di sicurezza nell’ultimo aggiornamento del suo browser Chrome, più che negli ultimi due dozzine di aggiornamenti messi insieme. Mozilla, la fondazione dietro il browser Firefox, ha rilevato più di 400 vulnerabilità di sicurezza nel mese di aprile, un aumento significativo rispetto al precedente record di 76 bug scoperti solo un mese prima.
“Abbiamo forse 10 volte più problemi del solito perché utilizziamo l’intelligenza artificiale per trovarli”, ha affermato Jarek Potiuk, parte del team di sicurezza volontario presso l’Apache Software Foundation. (In linea con l’etica non gerarchica della fondazione, Potiuk ha affermato di non avere un vero titolo).
Potiuk ha affermato che esiste un “movimento a livello di settore” per condurre scansioni utilizzando modelli di intelligenza artificiale e identificare le vulnerabilità della sicurezza, proprio come è stato fatto per trovare i bug in PHP. Ma le scansioni stesse costano denaro – utilizzato per pagare i token per i modelli di intelligenza artificiale – e in seguito, gli esseri umani devono esaminarle attentamente per eliminare i falsi positivi.
“Ogni progetto, ogni fondazione lo sta facendo proprio adesso, spendendo enormi quantità di tempo per trovare questi problemi”, ha detto Potiuk. “L’intelligenza artificiale aiuta a trovarli, ma devi verificare le cose, devi rivederle”.
All’inizio di quest’anno, Anthropic ha lanciato Project Glasswing, offrendo 100 milioni di dollari in crediti per supportare il suo modello avanzato di intelligenza artificiale Claude Mythos per la ricerca di vulnerabilità di sicurezza nei software critici del mondo. In un mese sono state rilevate più di 23.000 vulnerabilità in più di 1.000 progetti open source.
L’Apache Software Foundation ha approfittato di un altro schema, il progetto Alpha-Omega, per scansionare i bug di sicurezza nei 290 pacchetti software che mantiene. Il progetto, sostenuto da aziende come Anthropic, Amazon, Google, Microsoft e OpenAI, spende circa 7 milioni di dollari all’anno per aiutare gli sviluppatori open source a trovare bug critici di sicurezza.
Ma coloro che lavorano per individuare e correggere le falle di sicurezza affermano che il mondo aziendale potrebbe fare molto di più, data la valutazione di trilioni di dollari delle aziende i cui prodotti non funzionerebbero senza software libero come i pacchetti forniti dalla Apache Foundation.
“Stanno aiutando molto, ma abbiamo bisogno di attori più attivi in quest’area”, ha detto Potiuk, “perché è altamente sproporzionato – l’impatto che ha sul mondo aziendale rispetto al mondo open source”.
Quando viene scoperta una grave falla di sicurezza come PHP2Shell, spesso spetta a una manciata di volontari risolverla.
Mantenere l’infrastruttura di Internet quanto più decentralizzata e open source possibile è fondamentale, ha affermato Potiuk. Invece di acquistare qualcosa come PHP, i principali attori come Google o Microsoft potrebbero, ad esempio, pagare il personale per dedicare parte del proprio orario di lavoro al mantenimento dei progetti open source che utilizzano.
Obiettivi del mondo reale
La vulnerabilità Log4Shell del 2021, che ha consentito agli hacker di eseguire codice in remoto su milioni di dispositivi attraverso una libreria ampiamente utilizzata gestita dalla Apache Software Foundation, ha sottolineato il ruolo fondamentale che il software open source svolge nella sicurezza del sistema. Quel bug è stato scoperto senza l’uso dell’intelligenza artificiale.
All’improvviso, le automobili, i forni a microonde e una serie di dispositivi elettronici connessi a Internet sono diventati vulnerabili, ha detto Potiuk.
“Quello è stato il momento in cui l’intero ecosistema ha capito quanto sia importante prendersi cura dell’open source”, ha affermato.
Un bug del genere, se trovato da un hacker malintenzionato e sfruttato prima che ci fosse la possibilità di applicare patch ai dispositivi, avrebbe potuto causare gravi disagi.
Slattery ha affermato che il database degli incidenti che lui e i suoi colleghi gestiscono mostra che viene rilevato un numero crescente di vulnerabilità ed è questione di tempo prima che alcune vengano sfruttate nel mondo reale.
“Stiamo iniziando a vedere molte più vulnerabilità rilevate e affrontate in tempo, ma anche attacchi su un’ampia gamma di sistemi”, ha affermato Slattery. “Ci stiamo muovendo in questa direzione da molto tempo. Ci sono sempre più cose che ora puoi attaccare.”
